Penetrationstest für Webanwendungen, Shops und Server
Ihre Website, Ihr Shop und Ihre Server sind rund um die Uhr erreichbar, für Kunden und für Angreifer. Wir prüfen sie so, wie es ein Angreifer tun würde, und zeigen Ihnen, was sich tatsächlich ausnutzen lässt.
- Für
- Shops, Portale, APIs, Server
- Ansatz
- Grey-Box nach OWASP
- Ergebnis
- Bericht mit Nachweisen, Nachtest
- Preis
- Festpreis nach Erstgespräch
/ Umfang
Was wir testen
/ Ansatz
Grey-Box statt Blindflug
Beim Black-Box-Test weiß der Prüfer nichts, beim White-Box-Test alles. Wir arbeiten meist im Grey-Box-Ansatz: mit Zugängen für typische Rollen und einem Überblick über die Architektur.
So finden wir in derselben Zeit mehr als im Blindflug und prüfen auch, was nach dem Login passiert. Dort liegen die Fehler, die am meisten kosten.
/ Standards
Nach anerkannten Standards
Wir prüfen entlang des OWASP Web Security Testing Guide und der OWASP Top 10 und bewerten jeden Fund nach CVSS. So sind Ergebnisse vergleichbar und für Ihr Team nachvollziehbar.
/ Härtung
Härtung inklusive, wenn Sie möchten
Auf Wunsch setzen wir die Maßnahmen auf Serverebene direkt um. Änderungen am Anwendungscode liefern wir als konkrete Anleitung an Ihr Team oder Ihre Agentur.
- Sicherheitsupdates für Betriebssystem und Dienste
- SSH nur mit Schlüssel, kein Root-Login
- Firewall und Dienste auf das Nötige reduziert
- Saubere TLS-Konfiguration und Security-Header
- Altsysteme und alte Subdomains abgeschaltet, DNS bereinigt
- Nachtest, der jede Maßnahme bestätigt
/ Fragen
Häufige Fragen
Wie lange dauert ein Penetrationstest?
Eine typische Website mit Shop und zwei bis drei Servern prüfen wir in wenigen Tagen. Größere Anwendungen planen wir nach dem Erstgespräch gemeinsam.
Brauchen Sie Zugangsdaten?
Für einen Grey-Box-Test ja, für typische Rollen wie Kunde, Redakteur und Administrator. Auf Wunsch testen wir zusätzlich von außen ohne jeden Zugang.
Testen Sie auch Staging-Systeme?
Gern, oft ist das die bessere Wahl. Wir gleichen dann kurz ab, ob sich das Live-System davon unterscheidet.
Was passiert, wenn Sie etwas Kritisches finden?
Wir melden es sofort, telefonisch oder per Mail, und nicht erst im Abschlussbericht.
Setzen Sie die Maßnahmen auch um?
Auf Serverebene ja, wenn Sie möchten. Änderungen am Anwendungscode liefern wir als konkrete Anleitung an Ihr Team oder Ihre Agentur und prüfen danach nach.
/ Weitere Leistungen